Blog · Recht
Die KI-Verordnung füllt zahlreiche Seiten, aber für einen Agenten, der Kundenanfragen beantwortet, sind es wenige Stellen, die den Alltag bestimmen. Dieser Beitrag geht sie der Reihe nach durch und sagt, was sie für Ihren Betrieb praktisch heißt.
Kurz gesagtFür Antwort-Agenten sind vor allem zwei Punkte der KI-Verordnung wichtig: der Hinweis, dass Personen mit einem KI-System interagieren (Art. 50 Abs. 1, seit 2. August 2026), und Maßnahmen zur KI-Kompetenz des Personals (Art. 4). Hochrisiko-Pflichten gelten später. Dieser Beitrag ist keine Rechtsberatung.
Seit die Verordnung (EU) 2024/1689 beschlossen wurde, kursieren Aussagen, die zwischen Alarm und Entwarnung schwanken. Die einen behaupten, jede Nutzung von KI sei nun streng reguliert, die anderen, das Gesetz betreffe nur Konzerne. Beides trifft nicht. Die Verordnung unterscheidet Rollen und Systemarten und stellt je nach Fall unterschiedliche Anforderungen. Für einen Mittelständler, der einen Agenten einsetzt, der E-Mails sortiert und Antworten vorbereitet, ist der Kreis der relevanten Vorschriften überschaubar.
Dazu kommt, dass die Verordnung in Stufen anwendbar wird und zuletzt durch die Digital-Omnibus-Verordnung (EU) 2026/1744 geändert wurde. Wer Texte aus dem Jahr 2024 liest, findet teils überholte Fristen. Wir haben für diesen Beitrag die konsolidierte Fassung der Verordnung mit Stand 27. Juli 2026 und die Änderungsverordnung im Original gelesen und geben die Fundstellen am Ende an. Alles, was hier steht, ist ein Überblick und ersetzt keine Beratung zu Ihrem Einzelfall.
Wer ein KI-System anbietet, das unmittelbar mit Menschen kommuniziert, muss dafür sorgen, dass diese erfahren, es mit KI zu tun zu haben. Entfallen kann das nur, wenn es nach den Umständen ohnehin auf der Hand liegt. Die Norm greift seit dem 2. August 2026.
Beide Seiten, Anbieter wie Betreiber, sollen ihr Personal beim Aufbau von KI-Kompetenz unterstützen. Dass ein bestimmtes Niveau erreicht sein muss, schreibt der Artikel nicht vor.
Die Digital-Omnibus-Verordnung nennt für Hochrisiko-Systeme neue Stichtage: den 2. Dezember 2027 für Anhang III und den 2. August 2028 für Anhang I. Welche Einstufung gilt, richtet sich nach der Zweckbestimmung des Systems.
Hier geht es um Systeme, die künstliche Ton-, Bild-, Video- oder Textinhalte hervorbringen. Ob dafür weitere Kennzeichnungspflichten gelten, hängt vom System ab und gehört in die Prüfung durch Ihre Rechtsberatung.
Zwei Rollen sind zu unterscheiden. Anbieter ist, wer ein System entwickelt oder unter eigenem Namen bereitstellt, Betreiber, wer es in eigener Verantwortung einsetzt. Adressat der Hinweispflicht ist der Anbieter. Die Oberfläche, in der die Information erscheint, gestaltet aber der Betreiber, deshalb gehört der Hinweis von Beginn an in Ihre Planung.
Sechs Schritte, die in einer Stunde Besprechung durchgegangen werden können.
Dieser Ablauf ersetzt keine rechtliche Bewertung. Er sorgt dafür, dass Sie vor einem Gespräch mit Ihrer Beratung die Fakten beisammen haben und nicht erst im Gespräch Fragen sammeln.
Planen Sie für die Einordnung Zeit mit den Menschen ein, die den Agenten später nutzen. Sie wissen, welche Anfragen wirklich eingehen und wo die Grenzen des Systems im Alltag liegen. Ohne diese Praxissicht bleibt die Einordnung theoretisch.
Fiktives Beispiel, kein Kundenfall.
Ein Onlinehändler lässt einen Agenten auf seiner Website Fragen zu Lieferstatus und Rückgabe beantworten. Die Geschäftsführerin geht die sechs Schritte durch. Das System schreibt direkt mit Kundinnen und Kunden, also plant sie einen festen Hinweis im Chatfenster ein. Sie ist Betreiberin; Anbieter des Systems ist der Dienstleister, der es bereitstellt. Sie lässt sich von diesem bestätigen, wie er die Hinweispflicht umsetzt, und gestaltet die Oberfläche entsprechend.
Für das Personal plant sie einen Nachmittag, an dem das Team mit dem System arbeitet, Grenzen kennenlernt und eine Hausregel formuliert. Die Zweckbestimmung hält sie schriftlich fest: Auskünfte aus freigegebenen Unterlagen, Entwürfe für Rückgaben, keine Entscheidungen über Erstattungen. Diese gehen an Menschen. Die Akte umfasst drei Seiten. Mehr verlangt das Vorhaben in diesem Zuschnitt nicht, soweit es sich überblicken lässt; eine Garantie dafür gibt es nicht.
Wichtig an diesem Ablauf ist, dass jede Entscheidung dokumentiert wird: wer den Hinweis formuliert hat, wer freigegeben hat und was offen blieb. Diese Notizen sind später die Grundlage für das Gespräch mit Ihrer Beratung und ersparen ihr die Rekonstruktion.
Die KI-Verordnung ist bei dieser Aufzählung nur ein Teil der Begründung. Wichtiger ist das Datenschutzrecht: Das Datenschutzrecht schützt Menschen davor, dass allein eine Maschine über sie bestimmt, wenn die Entscheidung rechtlich wirkt oder sie ähnlich schwer trifft (Art. 22 DSGVO). Deshalb bereiten unsere Agenten vor und schlagen vor, und ein Mensch gibt frei. Die Übergabe ist in jedem Ablauf eingeplant.
Damit diese Grenzen im Alltag halten, werden sie nicht nur in der Anweisung festgehalten, sondern im Test mit gespielten Fällen geprüft. Kommt ein Fall, in dem der Agent trotzdem entscheiden würde, wird die Regel angepasst und der Test wiederholt.
Die KI-Verordnung ersetzt das Datenschutzrecht nicht, sie tritt daneben. Sobald ein Dienstleister für Sie mit personenbezogenen Daten arbeitet, braucht er die Eignung, geeignete Schutzmaßnahmen glaubhaft zu garantieren, und die Verarbeitung muss in einem Vertrag stehen, der unter anderem Gegenstand, Dauer, Art und Zweck benennt (Art. 28 DSGVO). Wir schließen diesen Vertrag vor Projektbeginn ab und klären darin projektbezogen Modell, Verarbeitungsort und Löschfristen.
Ein Sonderfall sind Gesundheitsdaten: Art. 9 Abs. 1 DSGVO untersagt ihre Verarbeitung grundsätzlich, Absatz 2 regelt Ausnahmen. Wer in solchen Bereichen arbeitet, klärt die Zulässigkeit, bevor ein Agent Daten sieht. Mehr dazu in den Beiträgen zu den einzelnen Branchen und in unserem Glossar unter Besondere Kategorien.
Am Ende liegt eine Akte vor, die Sie Ihrer Beratung zeigen können, und ein Agent, der mit Hinweis, Freigaben und geschultem Team läuft. Der Aufwand hält sich in Grenzen, weil er an einem Vorgang geübt wird. Das passt zu unserem Verständnis eines Piloten.
Die Akte am Ende muss nicht umfangreich sein. Eine Seite zum Einsatzzweck, eine zu den Datenflüssen, die Verträge, der Hinweistext und die Liste der Grenzen reichen für ein sinnvolles Gespräch aus. Entscheidend ist, dass sie stimmt und gepflegt wird.
Der erste Prüfstein ist die Frage, ob eine neue Mitarbeiterin in fünf Minuten erklären kann, was der Agent tut, wer freigibt und wo der Hinweis steht. Kann sie es nicht, fehlt es an Klarheit, nicht an Technik. Der zweite Prüfstein ist die Akte: Sind Zweck, Rollen und Verantwortliche mit Datum festgehalten? Der dritte ist das Bild nach außen. Schauen Sie sich Ihre Oberfläche aus Sicht einer Kundin an. Ist erkennbar, dass es ein System ist, und gibt es einen Weg zu einem Menschen?
Wiederholen Sie diese Prüfung, wenn sich etwas ändert: ein neues Modell, ein neuer Kanal, eine neue Aufgabe für den Agenten. Aus dem Gesetz folgt keine einmalige Fleißarbeit, aber ein Betrieb, der seine Systeme beschreiben und erklären kann, ist für Rückfragen von Kundschaft, Aufsicht und Geschäftspartnern gut gerüstet.
Zeigt die Prüfung Unsicherheiten, ist das kein Misserfolg. Notieren Sie die offenen Fragen und geben Sie sie an Ihre Beratung weiter, bevor der Einsatz ausgeweitet wird. Eine geklärte Frage ist mehr wert als ein stillschweigend übergangener Zweifel.
Wir haben die genannten Artikel im Wortlaut gelesen und fassen sie zusammen. Wir beurteilen nicht, ob Ihr konkretes System als Hochrisiko-System einzustufen ist, wer in Ihrer Lieferkette welche Rolle trägt oder welche Folgen ein Verstoß hätte. Auch Sonderfragen zu Aufsicht und Sanktionen behandeln wir nicht. Dafür ist fachkundige Beratung zuständig.
Gesetze werden angepasst, wie die Digital-Omnibus-Verordnung zeigt. Prüfen Sie deshalb bei Entscheidungen den aktuellen Originaltext, die Links stehen unten mit Abrufdatum. Wenn Sie wissen möchten, wie wir die Einordnung in einem Projekt umsetzen, finden Sie die Arbeitsweise auf der Seite KI-Transparenz. Für das Team bieten wir Workshops zur KI-Kompetenz an. Eine erste Orientierung zu Ihren Abläufen gibt der Entlastungs-Check.
Sie knüpft an Rollen und Systeme an, nicht an die Betriebsgröße. Als Betreiber eines Systems haben Sie je nach Fall Pflichten, etwa zur KI-Kompetenz des Personals. Welche das im Einzelnen sind, hängt von Ihrem Einsatz ab und sollte fachkundig geprüft werden.
Wenn ein KI-System direkt mit Personen interagiert, müssen diese informiert werden, dass sie mit einem KI-System interagieren, außer das ist aus den Umständen offensichtlich (Art. 50 Abs. 1, seit 2. August 2026). Die Pflicht trifft zunächst den Anbieter. Planen Sie den Hinweis dennoch in Ihrer Oberfläche mit ein.
Das richtet sich nach Zweckbestimmung und den Anhängen der Verordnung. Wir prüfen es je Projekt und halten das Ergebnis fest. Eine Garantie für Ihren Fall können wir nicht geben.
Nach der Digital-Omnibus-Verordnung ab dem 2. Dezember 2027 für Anhang III und ab dem 2. August 2028 für Anhang I. Ob ein System darunter fällt, ist eine Einzelfallfrage.
Art. 4 verlangt Maßnahmen zur Unterstützung der KI-Kompetenz, aber kein bestimmtes Niveau. Was angemessen ist, hängt von Vorwissen und Einsatz ab. Ein Workshop und eine Hausregel sind ein sinnvoller Anfang.
Die Zusammenfassungen sind sinngemäß; maßgeblich sind die verlinkten Originaltexte. Das ist ein allgemeiner Überblick zu Ihrem Umfeld, keine Rechtsberatung und keine Aussage zu Ihrem Einzelfall.
Autor: Melvin Mümken, Gründer & Technischer Leiter. Stand: 22.10.2026. Die Hinweise sind ein allgemeiner Überblick und keine Rechtsberatung.